31.03.2026
Aktualisiert 25.07.2026
Threat
Prompt Injection
Fremde Inhalte können für einen KI-Agenten zur Anweisung werden. Gefährlich wird das, wenn daraus Datenzugriffe, Tool-Aufrufe oder andere Aktionen entstehen.
Was Prompt Injection ist
Bei einer Prompt Injection verändert eine fremde Anweisung das Verhalten des Modells. Sie kann direkt aus einer Nutzereingabe kommen – oder versteckt in einer Webseite, E-Mail, PDF, RAG-Quelle, einem Repository oder Tool-Output stecken.
Bei einem Chatbot führt das oft nur zu einer falschen Antwort. Ein Agent kann daraufhin jedoch Daten lesen, Tools aufrufen oder Nachrichten versenden.
Wie der Angriff funktioniert
Der Einstieg wirkt häufig harmlos: Ein Agent soll Inhalte zusammenfassen, ein Ticket bearbeiten oder eine Webseite prüfen. In genau diesem Inhalt steckt der fremde Auftrag.
Auftrag
Der Agent erhält eine legitime Aufgabe
Fremder Inhalt
Eine Quelle liefert zusätzlichen Kontext
Injection
Daten werden als Anweisung interpretiert
Aktion
Der Agent antwortet oder handelt
Mögliche Folgen
Daten fließen ab
Tools werden missbraucht
Manipulation bleibt gespeichert
Der mögliche Schaden hängt nicht nur von der Injection ab, sondern vor allem von den Daten, Rechten und Tools, die dem Agenten zur Verfügung stehen.
Direkt oder indirekt?
Direkt
Eingabe an den Agenten
Der Angreifer schreibt dem Agenten selbst – über Chat, Formular oder API.
Im Anfrageverlauf meist sichtbar
Am Ein- und Ausgang begrenzbar
Indirekt
Anweisung in einer Quelle
Der Angreifer präpariert Inhalte, die der Agent später verarbeitet.
Keine direkte Interaktion nötig
Schutz an jedem Inhaltskanal erforderlich
Jailbreaking umgeht Regeln über direkte Eingaben. RAG Poisoning manipuliert Wissensquellen. Tool Misuse ist eine mögliche Folge der Injection.
Drei typische Angriffsszenarien
Der Agent sortiert Mails – und versendet Daten
E-MailAus einem reinen Leseauftrag wird ein Versandpfad – obwohl der Nutzer nie „senden“ gesagt hat.
Coding-Agent folgt dem Issue-Kommentar
CodeDer Agent sucht Tokens, liest unnötig sensible Dateien oder schlägt riskante Kommandos vor.
Browser-Agent klickt sich weiter
Computer UseLegitime Browser-Rechte werden für fremde Navigations- und Exfiltrationsschritte genutzt.
Was wirklich schützt
Prompt Injection lässt sich nicht mit einem einzelnen Filter zuverlässig ausschließen. Wirksamer ist es, den Weg von der fremden Quelle bis zur realen Aktion an mehreren Stellen zu begrenzen.
Externe Inhalte kennzeichnen, getrennt verarbeiten und nie wie Systemregeln behandeln.
Mit Lesezugriff starten und Daten, Tools sowie Zielsysteme auf das Nötige beschränken.
Parameter serverseitig validieren; Versand, Export oder Löschung zusätzlich freigeben lassen.
Eine Injection kann das Modell beeinflussen. Sie darf aber keine kritische Aktion ohne unabhängige Prüfung auslösen.
Ergänzend sollten Teams Memory-Schreibvorgänge schützen und Tool-Aufrufe samt Quellen und Freigaben gemeinsam protokollieren.
Wie Teams Angriffe erkennen und testen
- Quellen sichtbar machen: Kanal, Ursprung und Abrufzeitpunkt jeder Information protokollieren.
- Auftrag und Aktion vergleichen: Tool-Aufrufe müssen zur sichtbaren Nutzerabsicht passen.
- Datenbewegungen korrelieren: Externe Inhalte, breite Lesezugriffe und ausgehende Kommunikation gemeinsam betrachten.
- Vollständige Pfade testen: Präparierte Webseiten, Dokumente und Tool-Ausgaben gegen Rechte, Memory und Freigaben prüfen.
Modell-Logs allein reichen dafür nicht. Entscheidend ist die Verbindung von Quelle, Modellentscheidung, Tool-Parametern und ausgeführter Aktion. Mehr dazu unter Agent Observability.